What’s Vulnerable › Vulnerabilities
CVE-2026-116852: WordPress Widget Options plugin <= 4.2.5 - Remote Code Execution (RCE) vulnerability
- Severity: critical (CVSS 9.1 v3.1)
- Exploited in the wild: not listed in CISA KEV
- EPSS: 0.6% probability of exploitation in the next 30 days
- Public exploit or detection template: none known
- Published: 2026-10-30 · updated 2026-10-30
- Weakness: CWE-94
Description
Author Remote Code Execution (RCE) in Widget Options <= 4.2.5 versions.
Summary
CVE-2026-116852 is a critical (CVSS 9.1) remote code execution flaw in the WordPress Widget Options plugin, allowing an author-level user to execute arbitrary code on the server. It affects Widget Options versions up to and including 4.2.5 and is fixed in 4.2.6. The vulnerability is not listed in CISA KEV, so no known active exploitation is confirmed. Update the plugin to 4.2.6 or later immediately, and review author-level accounts for signs of abuse.
CVE-2026-116852 ثغرة حرجة (CVSS 9.1) تسمح بتنفيذ تعليمات برمجية عن بُعد (RCE) في إضافة Widget Options الخاصة بـ WordPress، إذ يستطيع مستخدم بمستوى author تنفيذ تعليمات برمجية عشوائية على الخادم. تؤثر الثغرة في إصدارات Widget Options حتى 4.2.5 وتُصلَح في الإصدار 4.2.6. الثغرة غير مدرجة في CISA KEV، لذا لا يوجد تأكيد باستغلالها فعلياً. يجب تحديث الإضافة إلى الإصدار 4.2.6 أو أحدث فوراً، ومراجعة حسابات مستوى author بحثاً عن أي نشاط مشبوه.
Affected products
- Marketing Fire Widget Options: through 4.2.5 — fixed in 4.2.6
How to fix
Upgrade to a fixed version: Marketing Fire Widget Options 4.2.6. Check the vendor advisory for mitigations.
References
Get alerted when CVE-2026-116852 or the next vulnerability affects your stack